《信息安全技术 工业控制系统专用防火墙技术要求.docx》由会员分享，可在线阅读，更多相关《信息安全技术 工业控制系统专用防火墙技术要求.docx（31页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息安全技术工业控制系统专用防火墙技术要求1范围本标准规定了工业控制系统专用防火墙（以下简称工控防火墙）的安全技术要求。本标准适用于工控防火墙的设计、开发与测试。本标准适用于工程设计方、设备生产商、系统集成商、用户以及评估认证机构等。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本 适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 20281 信息安全技术 防火墙安全技术要求和测试评价方法GB/T 25069 信息安全技术 术语GB/T 18336. 1信息技术安全技术信息技术安全性评估准则第1部分：简介和一
2、般模 型GB/T 18336. 2信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求GB/T 18336. 3信息技术安全技术信息技术安全性评估准则第3部分:安全保证要求GB/T 30976. 1-2014工业控制系统信息安全 第1部分 评估规范GB/T 30976.2-2014工业控制系统信息安全 第2部分 验收规范GB/T xxxxx 集散控制系统（DCS）安全防护标准 3术语和定义GB/T 25069界定的以及下列术语和定义适用于本文件。3. 1工业控制系统专用防火墙i ndustr i a I f i rewa I I可应用于工业控制环境,对工业控制系统边界以及工业控制系统内
3、部不同控制域之间进 行边界保护，并满足特定工业环境和功能要求的防火墙。根据工控防火墙在工控系统中保护对象的不同，又可细分为部署域间工控防火墙和部署 现场控制层工控防火墙，附录C为工控防火墙典型应用。图C.l, C. 2为部署域间的工控防火 墙，图C. 3为部署现场控制层工控防火墙。3.2深度包检测 deep packet inspection基于应用层的流量检测和控制技术，通过读取IP包载荷的内容并对应用层信息进行重组, 从而得到整个应用程序的内容，然后按照系统定义的策略对内容进行相应处置。（GB/T 20281-2015,定义3.2）工控防火墙应支持日志管理功能，具体技术要求如下：a）应只允
4、许授权审计员能够对日志进行读取、存档、导出、删除和清空等操作；b）应提供能查阅日志的工具，具备对审计事件以时间、日期、主体标识、客体标识等 条件检索的能力，并且只允许授权管理员使用查阅工具；c）审计事件应存储于掉电非易失性存储介质中，且在存储空间达到阈值时至少能够通 知授权审计员；d）应支持第三方日志管理系统对工控防火墙日志信息进行集中收集、存储。5.3. 1.3.4 安全管理5.3. 1.3.4. 1安全支撑系统工控防火墙的底层支撑系统应满足以下要求：a）确保其支撑系统不提供多余的网络服务；b）不含任何导致产品权限丢失、拒绝服务等的安全漏洞。5.3. 1.3. 4. 2异常处理机制工控防火墙
5、在非正常条件（比如掉电、强行关机）关机再重新启动后，应满足如下技术 要求：a）安全策略恢复到关机前的状态；b）日志信息不会丢失；c）管理员重新鉴别。高可用性5. 3. 1.3. 5. 1 Bypass 功能部署在现场控制层的工控防火墙应具备Bypass功能，当工控防火墙自身出现断电或其他 软硬件故障时，应使工控防火墙内部接口与外部接口直接物理连通，保持内部网络与外部网 络之间的正常通信。5. 3. 1.3. 5. 2 多工作模式工控防火墙应支持多种工作模式，保证工控防火墙区分部署和工作过程以实现对被防护 系统的最小影响，具体技术要求如下：a）支持学习模式，工控防火墙记录运行过程中经过防火墙的所
6、有策略、资产等信息, 形成白名单策略集；b）应至少支持一种工控协议的深度策略学习，学习深度与工业协议深度内容检测深 度一致；c）支持验证模式或测试模式，该模式下工控防火墙对白名单策略外的行为做告警，但 不拦截；d）支持工作模式，工控防火墙的正常工作模式，严格按照防护策略进行过滤等动作保 护。5. 3. 1.3. 5. 3安全策略无扰下装进行工控防火墙安全策略应用时不应该影响正常的数据通信。5.3. 1.3. 5. 4 时钟同步工控防火墙应支持与时钟服务器自动同步时钟功能。5. 3. 1.3. 5. 5电源冗余部署现场控制层的工控防火墙应提供双电源冗余功能5.3. 1.3. 5. 6散热方式部署
7、现场控制层的工控防火墙应采用自然散热，无风扇方式设计。5. 3. 1.3. 5. 7双机热备部署域间的工控防火墙应具备双机热备的能力，当主防火墙自身出现断电或其他故障 时，备防火墙应及时发现并接管主防火墙进行工作安全保证要求工控防火墙增强级安全保证要求，按照IT防火墙标准GB/T 20281中关于IT防火墙增 强级安全保证要求的规定执行。附录B （资料性附录）附录C环境适应性要求本标准的环境适应性要求包括气候、电磁兼容、绝缘、接地、机械适应性、外壳防护。 每一项又有各自的具体要求。应根据设备实际部署环境的不同，由用户和设备制造商确定具 体应满足的要求。本标准环境适应性要求章节的编写主要参考了G
8、B/T 30094-2013工业以太网交换机技 术规范，其参考的相关标准主要为GB/T 2423系列 电工电子产品环境试验，GB/T 17626系列 电磁兼容试验和测量技术，其余详见下文。本章节所涉及的标准，凡是未注明日期的，应参考该标准最新版本。A. 1气候A. 1. 1温度表A.1规定了设备工作、贮存和运输温度条件。设备在规定的工作温度范围内工作时， 其功能和性能应满足本标准的规定。在规定的温度范围内贮存和运输时，不应发生裂痕、老 化或其他损坏；当经受该温度范围后再恢复到工作温度范围时，设备应能正常工作。应用于温度快速变化场合的设备、在经受不超过5C/min的温度变化时应能正常工作。表A.
9、 1温度条件等级工作温度/c贮存和运输温度/C低温高温低温高温I060-4070II-4070-4085X特定注：X是一个开放等级，具体温度要求范围可根据设备实际应用环境与客户协商确定。A. 1.2相对湿度设备在表A. 2规定的相对湿度环境条件下应能正常工作:表A.2相对湿度条件（无凝结）等级低相对湿度（）高相对湿度盛）I595X特定注：X是一个开放等级，具体相对湿度要求范围可根据设备实际应用环境与客户协商确 定。A. 1.3大气压力设备工作大气压力条件见表A. 3表A. 3大气压力条件等级低气压/kPa高气压/kPaI80106II70106X特定注：X是一个开放等级，具体抗腐蚀性要求范围可
10、根据设备实际应用环境与客户协商确 定。防腐蚀设备工作在盐雾环境条件下或存在其他化学活性物质，应提供工业环境中抗腐蚀和侵蚀 的能力，保证设备在表A. 4、A. 5规定的环境条件下能够长期使用。表A.4盐雾等级最大盐雾浓度（哨/疗）IW5X特定注：X是一个开放等级，具体抗腐蚀性要求范围可根据设备实际应用环境与客户协商确 定。表A.5化学活性物质条件等级依据标准化学活性物质IGB/T17214.4工业清洁空气II中等污染III严重污染X特定注：X是一个开放等级，具体抗腐蚀性要求范围可根据设备实际应用环境与客户协商确 定。抗霉变设备工作在潮湿多雨地区和霉菌滋生环境下不应发生霉变，并能够正常工作。A.2
11、电磁兼容性设备应满足工业环境中的电磁兼容性要求，具体技术指标见下列表A. 7表A. 26O其中，电磁兼容辐射和传导发射限值按GB4824为CLASS A,电磁兼容抗扰度的性能判据 要求详见表A. 6。表A. 6性能判据性能评价判据说明A试验期间和试验后受试设备均应按预期要求继续运行，无功能丧失或性能下降B试验期间，受试设备允许出现暂时的性能下降或功能丧失，但设备可以自我恢复， 试验后设备应按预期要求继续运行。不能出现系统死机、复位或重启。C试验期间，允许受试设备出现暂时的性能下降或功能丧失，但需要人工干预或系 统复位才能恢复表A.7辐射发射及传导发射要求测试项测试端口参考标准测试频段限值辐射发
12、射整机GB4824、30MHz- 1GHzA类传导发射电源口、信号口GB9254150KHz30MHzA类表A.8外壳端口静电放电抗扰度要求等级依据标准严酷等级判据IGB/T17626. 23 （接触放电6KV,空气放电8KV）AII4 （接触放电8KV,空气放电15KV）AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A. 9整机射频电磁场辐射抗扰度要求等级依据标准严酷等级试验频段判据IGB/T17626.32 (3V/m, 80%AM)80MHz-1GHzAII3 (10V/m, 80%AM)AX特定注：X是一个开放等级，具体电磁兼容性能力要求可
13、根据设备实际应用环境与客户协商 确定。表A. 10电源端口及信号端口电快瞬变脉冲群抗扰度要求等级依据标准严酷等级判据IGB/T17626.43 （电源D2KV,信号口1睬）AII4 （电源口士4珠，信号口2睬）AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A.11信号端口浪涌（冲击）抗扰度要求等级依据标准严酷等级判据IGB/T17626.5线-地2AII3AIII4AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A.12直流电源输入端口浪涌（冲击）抗扰度要求等级依据标准严酷等级判据IGB/T17626.
14、 5线-地3线-线3AII44AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A.13交流电源输入端口浪涌（冲击）抗扰度要求等级依据标准严酷等级判据IGB/T17626.5线-地3线-线3AII44AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A. 14电源端口及信号端口射频场感应的传导骚扰抗扰度要求等级依据标准严酷等级试验频段判据IGB/T17626.62 (3V,80%AM)150KHz80MHzAII3 (10V,80%AM)AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境
15、与客户协商 确定。等级依据标准严酷等级判据IGB/T17626. 8稳定持续磁场：4级短时作用磁场：4级AII稳定持续磁场：5级短时作用磁场：5级AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A. 16整机阻尼振荡磁场抗扰度要求等级依据标准严酷等级判据IGB/T17626.104AII5AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A. 17电源端口阻尼振荡波抗扰度要求等级依据标准严酷等级判据IGB/T17626. 12-1998表22AII3AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据
16、设备实际应用环境与客户协商 确定。表A. 18振铃波抗扰度要求等级依据标准严酷等级判据IGB/T17626. 12表13AII4AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A. 19电源口 0Hz150Hz共模传导骚扰抗扰度要求等级依据标准严酷等级判据IGB/T17626.163AII4AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A.20交流电源输入端口电压暂降抗扰度要求等级依据标准严酷等级判据IGB/T17626.112类BII3类BX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实
17、际应用环境与客户协商 确定。表A. 21交流电源输入端口短时中断抗扰度要求等级依据标准严酷等级判据IGB/T17626.112类CII3类CX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A. 22交流电源输入端口电压变化抗扰度要求等 级依据标准试验参数电压实验等 级电压降低所需时 间降低后电压维持时 间电压增加所需时 间判据IGB/T17626. 1170%突变1周期25周期AX特定特定特定特定特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。表A.23直流电源输入端口纹波抗扰度等级依据标准严酷等级判据IGB/T
18、17626.172AII3AIII4AX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。3. 3深度内容检测 deep content i nspect i on能够对应用协议的深入解析，识别出协议中的各种要素(如http协议，可具体解析到如 cookie. Get参数、Post表单等)以及协议所承载的业务内容(如业务系统交互中包含在协 议或文件中的数据内容)，并对这些数据进行快速的解析，以还原其原始通信的信息。根据 这些解析后的原始信息，可以检测其是否包含威胁以及敏感内容。(GB/T 20281-2015,定义3.3)4缩略语下列缩略语适用于本文件。D
19、MZ：非军事区(Demilitarized Zone)DNAT：目的网络地址转换(Destination NAT)FTP：文件传输协议(File Transfer Protocol)HTTP：超文本传输协议(Hypertext Transfer Protocol)TCMP：互联网控制报文协议(Internet Control Messages Protocol)IP：网际协议(Internet Protocol)MAC：介质访问控制(Media Access Control)NAT：网络地址转换(Network Address Translation)OPC：用于过程控制的0LE(0bject
20、 Linking and Embedding(OLE) for Process Control )SNAT：源网络地址转换(Source IP NAT)TCP：传输控制协议(Transport Control Protocol )UDP：用户数据报协议(User Datagram Protocol )5安全技术要求5.1 总体说明本标准参考GB/T 20281关于IT防火墙技术分类和安全功能的强度划分方式，从安全技术 要求方面将工控防火墙分为安全功能、安全保证两个大类，从安全功能的强度方面将工控防 火墙分为基础级和增强级。其中安全功能要求在GB/T 20281的基础上进行增、减等修改，以 满足
21、工业应用的特殊要求。安全保证要求则仍然采用GB/T 20281的相关规定。GB/T 20281 中关于IT防火墙安全功能强度等级的适用性仍适用于本标准。表1为工控防火墙安全功能要 求表，表中“加粗字体”为工控防火墙相对于IT防火墙新增安全功能要求。在具体技术要求 部分，与基本级内容相比，增强级中要求有所增加或变更的内容在正文中通过“字体加粗” 表示。等级依据标准严酷等级判据IGB/T17626. 29试验等级：40%和70%诙 持续时间：1sAX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A. 25直流电源输入端口短时中断抗扰度等级依据标准严酷等级
22、判据IGB/T17626. 29试验等级：0%4；持续时间：1sBX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。表A. 26直流电源输入端口电压变化抗扰度等级依据标准严酷等级判据IGB/T17626. 29试验等级：80%和120%；持续时间:10sAX特定注：X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商 确定。A.3绝缘性能A. 3. 1绝缘电阻设备的绝缘电阻要求见表A. 27o名称依据标准一般环境绝缘电阻GB/T 13729-2002 表13湿热环境绝缘电阻GB/T 13729-2002 表14A. 3. 2绝缘耐压设
23、备应绝缘耐压要求见表A. 28o表A. 28绝缘耐压要求名称依据标准严酷等级额定绝缘电压小于60V的回 路GB/T 15153.1-1998VW2额定绝缘电压大于60V的回 路VW3注：高海拔地区空气密度小，同等电压下，空气更容易产生电离现象，使设备的绝缘性能下降。在高海拔地区使用的设备应通过合理设计，保证其绝缘性能。A. 3.3泄漏电流设备工作时对保护接地端的泄露电流应不大于5mA。A. 4接地设备应具有接地端子及标记，标记应具耐久性且易识别，接地直流电阻不大于10mQ。A. 5机械适应性设备应提供工业环境中的机械适应性能力，具体技术要求见表A. 29o表A. 29机械适应性要求名称依据标准
24、等级备注I （导轨安装）II （面板安装）正弦振动-工 作GB/T2423. 10-20085HzfW9 Hz, 7mm； 9Hzf150 Hz ,2. 0g；每分钟一倍频程 (10%)5HzWfW9 Hz, 7mm； 9HzWf/150 Hz, 2.0g； 每分钟一倍频程(土 10%)在三个互相垂 直轴的每个轴 上分别扫描10 次名称依据标准等级备注I （导轨安装）II （面板安装）冲击-工作GB/T2423. 5-199515g,持续时间：11ms/次，脉冲波形：半正弦每个坐标轴的 +/-方向各进 行3次冲击，即 共18次垂直冲击-包 装运输GB/T2423. 8-1995未包装产品质量W
25、IOkg,跌落高度0. 25m未包装产品质量W50kg,跌落高度0. 10m面棱角的顺 序，每个包装 实验3次在完整包装箱中质量W50kg,跌落高度0.5m在完整包装箱中质量WIOOkg,跌落高度0.25m随机振动-包 装运输GB/T4857.23-2012堆码高度2. 5m采用标准附录A中规定的水平n曲线，振动持续 时间为4小时3个轴向分别 进行碰撞-包装运 输GB/T4857.20-199210G,脉冲持续时间11ms, 60次每分钟，1000次A. 6外壳防护设备的外壳防护等级由制造商和用户协商确定，防护等级易从表A. 30规定的范围内选择。表A.30外壳防护等级表防尘等级防水等级依据标
26、准IP2XIPXOGB 4208-2008IP3XIPX1TP4XTPX2IP5XIPX3IPX4IPX51PX6IPX7附录E （资料性附录）附录F性能要求F. 1 吞吐量工控防火墙在只有一条允许规则和不丢包的情况下，应达到的吞吐量指标如下：a）对64字节短包，十兆和百兆工控防火墙应不小于线速的20%,千兆工控防火墙应 不小于线速的35%；b）对256字节中长包，十兆和百兆工控防火墙应不小于线速的70%,千兆工控防火墙 应不小于线速的80%；c）对512字节长包，十兆和百兆工控防火墙应不小于线速的90%,千兆工控防火墙应 不小于线速的95%od）在添加大数量访问控制规则（不同的100余条）的
27、情况下，工控防火墙的吞吐量下 降应不大于原吞吐量的3%oF.2延迟延迟视不同速率的工控防火墙有所不同，具体指标要求如下，在吞吐量90%方式下测：部署在域间的工控防火墙：a）对64字节短包、256字节中长包、512字节长包，百兆工控防火墙最大延迟不应超 过 1ms；b）对64字节短包、256字节中长包、512字节长包，千兆工控防火墙最大延迟不应超 过 200us；c）在添加大数量访问控制规则（不同的100余条）的情况下，工控防火墙延迟所受的 影响应不大于原来的3%o部署在现场控制层设备前的工控防火墙：d）对64字节短包、256字节中长包、512字节长包，百兆工控防火墙最大延迟不应超 过 200u
28、s；e）对64字节短包、256字节中长包、512字节长包，千兆工控防火墙最大延迟不应超 过 60us；f）在添加大数量访问控制规则（不同的100余条）的情况下，工控防火墙延迟所受的 影响应不大于原来的3%oF.3最大并发连接数最大并发连接数视不同速率的工控防火墙有所不同，具体指标要求如下: a）百兆工控防火墙的最大并发连接数应不小于60000个；b）千兆工控防火墙的最大并发连接数应不小于300000个。F.4最大连接速率最大连接速率视不同速率的工控防火墙有所不同，具体指标要求如下: a）百兆工控防火墙的最大连接速率应不小于1500个/s；b）千兆工控防火墙的最大连接速率应不小于5000个/s。
29、附录H （资料性附录）附录I工控防火墙的应用工控防火墙是应用于工业控制系统的一类特殊防火墙，其即要满足IT防火墙的基本要求 外，还要满足工业控制环境下的特殊要求，工控防火墙主要应用在工业控制层级间隔离以及 各层区域间隔离。运营管理层：将生产过程控制、生产过程管理和经营管理活动中产生的诸多信息进行转 换、加工、传递，是生产过程控制与管理信息集成的重要桥梁和纽带，完成生产计划的调度 与统计、生产过程成本控制、产品质量控制与管理、设备控制与管理、生产数据采集与处理 等功能，负责生产管理和调度执行。监督控制层：以操作监视为主要任务，兼有部分管理功能。这一级是面向操作员和控制 系统工程师的，因而这一级配
30、备有技术手段齐备，功能强的计算机系统及各类外部装置，特 别是显示器和键盘，以及需要较大存储容量的硬盘或软盘支持，另外还需要功能强的软件支 持，确保工程师和操作员对系统进行组态、监视和操作，对生产过程实行高级控制策略、故 障诊断、质量评估。现场控制层：现场控制层的主要功能包括：采集过程数据，进行数据转换与处理；对生 产过程进行监测和控制，输出控制信号，实现反馈控制、逻辑控制、顺序控制和批量控制功 能；对现场设备及I/O卡件进行自诊断；与过程监控层进行数据通信。工控防火墙常见应用常见如下：a）工业控制系统网络各层级间的安全逻辑隔离，如图C. 1在运营管理层网络与监督控 制层网络之间安全隔离。b）同
31、层级网络不同控制域间的安全逻辑隔离，如图C. 2在控制网络与功能安全保护网 络之间安全隔离。c）对现场控制层设备进行安全隔离。如图C. 3对现场控制层设备进行安全隔离。注：图C. 3的部署方式不适合对通信实时性有要求的场合运营管理层数据通信 服务器操作站数据监督控制层图C. 1运营管理层网络与监督控制层网络之间安全隔离操作站mu月热工凭控制网络控制系统域工程师站保护网络8工控防火墙保护系统域图C. 2控制网络与功能安全保护网络之间安全隔离操作站 操作站 数据工程师站控啊络0控制系统图C3现场控制层设备安全隔离附录K （规范性附录）附录L典型工控协议应用层控制要求常用工控协议应用层深度内容检测见
32、表D. 1所示：表D. 1常用工控协议深度内容检测要求工控协议名称过滤要求备注Modbus TCP 协议按寄存器起始地址读写控制按寄存器长度读写控制与“按寄存器结束地址读写 控制”相结合，二选一按寄存器结束地址读写控制与“按寄存器长度读与控制” 相结合，二选一寄存器值的读写控制值的大小范围功能码检查0PC协议支持动态开放端口支持TAG控制点的全局读写控制支持TAG控制点名称的读写控制支持TAG控制点数据类型的控制支持TAG控制点值的读写控制值的大小范围支持文件导入TAG控制点S7协议功能码检查按数据空间类型读写控制按数据址址长度读写控制与“按数据结束地址读写控 制”相结合,二选一按数据结束地址
33、读写控制与“按数据长度读写控制” 相结合，二选一数据值的读写控制值的大小范围Ethernet/IP支持ITEM控制点名称的读写控制支持ITEM控制点值的读写控制值的大小范围FINS命令类型检查工控协议名称过滤要求备注按数据空间类型读写控制表D. 1 （续）工控协议名称过滤要求备注FINS按源、目的网络地址，源、目的节点 地址，源、目的单元地址控制按数据址址长度读写控制与“按数据结束地址读写控 制”相结合,二选一按数据结束地址读写控制与“按数据长度读写控制” 相结合，二选一IEC104协议支持S帧、I帧、U帧格式检查支持遥控、遥调、总召、突变上传等 操作码控制支持功能码检查、点号地址控制、值 范
34、围控制I帧 有则适用支持信息体地址范围检查、信息体元 素值检查、公共地址范围检查、传送 原因检查I帧 有则适用IEC61850/G00SE支持畸形数据包检查按点位值的范围控制支持按照数据集进行点位值检查IEC61850/SV支持畸形数据包检查支持多ASDU检查支持svID,数据集，版本号的检查IEC61850/MMS支持mmsPDU类型控制支持mms服务类型控制与mms服务类型有关支持按逻辑节点名控制支持对应逻辑节点的数据类型、值检 测DNP3协议支持主站、从站地址控制支持链路层、应用层功能码检查支持对象组和变体的控制变体对象与应用层功能码有 关表1工控防火墙安全功能要求安全功能要求基本级增强
35、级部署域间部署现场控制层部署域间部署现场控制层网络 层控制包过滤*NAT*状态检测*动态开放端口*表1 （续）安全功能要求基本级增强级部署域间部署现场控制层部署域间部署现场控制层网络 层控制IP/MAC地址绑定*流量会话管 理连接数控制*会话管理*流量监测*带宽监测*抗拒绝服务攻击*网络扫描防护*应用 层控 制应用协议控制*工业协议深度内容检测*安全 运维 管理运维管理*安全审计*日志管理*安全 管理安全支撑系统*异常处理机制*iWj可 用性旁路保护*多工作模式*安全策略无扰下装*时钟同步*电源冗余*散热方式*双机热备*注：“*”表示具有该要求，“*”表示要求有所增强，“一一”表示不适用。支持
36、对应变体对象的限定词、变体值 控制支持是否允许广播控制变体对象与应用层功能码有 关表D. 1 （续）工控协议名称过滤要求备注FF协议支持FF消息类型控制支持参数下标、参数次标、设备号位控 制下标、次标、设备号位与FF 消息类型有关支持对应下标、参数次标的数据类型及数据控制参考文献1 GB 4208-2008外壳防护等级（IP代码）2 GB 4793. 1-2007测量、控制和实验室用电设备的安全要求 第1部分：通用要求3 GB 4943.1-2011信息技术设备安全第1部分：通用要求4 GB 9254-2008信息技术设备的无线电骚扰限制和测量方法5 GB 17625.1-2012电磁兼容 限
37、值 谐波电流发射限值（设备每相输入电流W16A）6 GB 17625. 1-2012 电磁兼容 限值 对每项额定电流6A且 无条件接入的设备在 公用低压供电系统中产生的电压变化、电压波动和闪烁的限值7 GB 17859计算机信息系统安全保护划分准则8 GB/T 14598. 3-2006电气继电器 第5部分：量度继电器和保护装置的绝缘 配合 要求和试验9 GB/T 17214. 1工业过程测量和控制装置的工作条件 第1部分：气候条件10GB/T17214.3 工业过程测量和控制装置的工作条件第3部分：机械影响11GB/T17214.4 工业过程测量和控制装置的工作条件第4部分：腐蚀和侵蚀影响1
38、2GB/T17626.2-2006电磁兼容试验和测量技术静电放电抗扰度试验13GB/T17626.3-2003电磁兼容试验和测量技术射频电磁场辐射抗扰度试验14GB/T17626.4-2008电磁兼容试验和测量技术电快速瞬变脉冲群抗扰度试验15GB/T17626.5-2008电磁兼容试验和测量技术浪涌（冲击）抗扰度试验16GB/T17626.6-2008电磁兼容试验和测量技术射频场感应的传导骚扰抗扰度17GB/T17626.8-1998电磁兼容试验和测量技术工频磁场抗扰度试验18GB/T17626.11-2008电磁兼容试验和测量技术电压暂降、短时中断和电压变化抗扰度试验19 GB/T 176
39、26.29-2006电磁兼容试验和测量技术直流电源输入端口电压暂降、短时中断和电压变化抗扰度试验20GB/T17799.2-2003电磁兼容 通用标准 工业环境中的抗扰度试验21GB/T17799.4-2012电磁兼容 通用标准 工业环境中的发射标准22GB/T18268-2000 测量、控制和实验室用的电设备 电磁兼容性要求23GB/T2423. 1电工电子产品环境试验 第2部分：试验方法 试验A：低温24GB/T2423. 2电工电子产品环境试验第2部分：试验方法试验B：高温25 GB/T 2423. 3电工电子产品环境试验 第2部分：试验方法 试验Cab：恒定湿热试 验26 GB/T 2
40、423. 4（12h+12h 循环）电工电子产品环境试验 第2部分：试验方法 试验Db：交变湿热试验27 GB/T 2423.5电工电子产品环境试验 第2部分：试验方法 试验Ea和导则：冲击28 GB/T 2423.8电工电子产品环境试验 第2部分：试验方法 试验Ed：自由跌落29GB/T 2423. 10电工电子产品环境试验第2部分:试验方法 试验Fc：振动（正弦）30GB/T 2423. 16电工电子产品环境试验第2部分:试验方法试验J及导则：长霉31 GB/T 2423. 18电工电子产品环境试验 第2部分：试验方法 试验Kb：盐雾，交变（氯化钠溶液）32 GB/T 2423.21电工电
41、子产品环境试验 第2部分：试验方法 试验M：低气压33 GB/T 2423. 22电工电子产品环境试验 第2部分：试验方法 试验N：温度变化34 GB/T 2423.51电工电子产品环境试验 第2部分：试验方法 试验Ke：流动混合气体 腐蚀试验35 GB/T 25931网络测量和控制系统的精确时钟同步协议36 GB/T 30094-2013工业以太网交换机技术规范37 IEC 62443-1-1工业过程测量和控制安全-网络和系统安全 第1-1术语、概述和模型38 IEC 62443-1-3工业过程测量和控制安全-网络和系统安全 第3系统的安全性符合指标39 IEC 62443-2-1工业过程测
42、量和控制安全-网络和系统安全 第2-1建立工业自动化和PLC系统（IACS）安全程序40 IEC 62443-3-2工业过程测量和控制安全-网络和系统安全第3-2用于区域和管道的安全保证等级（SAL）41 IEC 62443-4-1工业过程测量和控制安全-网络和系统安全 第4-1用于工业自动化和PLC系统的产品开发要求42 IEC 62443-4-2工业过程测量和控制安全-网络和系统安全 第4-2用于工业自动化和PLC系统组件的技术的安全要求43 DL/T 1241-2013电力工业以太网交换机技术规范5.2基本级安全要求5. 2.1安全功能要求6. 2, 1. 1网络层控制6.2. 1. 1. 1 包过滤工控防火墙的包过滤要求如下：a）安全策略应使用最小安全原则，即除非明确允许，否则就禁止；b）安全策略应包